很多人第一次在阿里云上部署服务，服务器开机、网页也能打开，真正卡住的往往是对接第三方接口、配域名解析或加白名单的时候。到底该填哪个IP，换了机器还能不能用，这些问题要先想清楚。下面按实际用法把几类IP讲明白，顺便说说常见的坑。
先分清阿里云上常见的几种IP
阿里云上的IP大致分三类。分不清，后面的配置基本都会出错。
- 私有IP：实例在专有网络（VPC）里互相通信用的地址，一般是 10.x.x.x 或 192.168.x.x。同一个VPC里的ECS和数据库通过它访问，不占公网带宽，也不产生公网流量费用。
- 公网IP：实例自带的公网地址，跟着实例走。按量付费的实例停机后，这个地址可能变化，白名单或解析记录一旦依赖它，就容易出问题。
- 弹性公网IP（EIP）：单独购买，可以随时绑定和解绑。绑到ECS、负载均衡（SLB）或NAT网关上以后地址不变，需要固定IP的场景基本都用它。
绑定EIP的基本步骤
业务需要固定的出口或入口地址，直接用EIP就行。操作顺序大致如下：
- 进入控制台的“弹性公网IP”页面，选好地域，创建EIP，并按业务量选择计费方式和带宽。
- 绑定前核对EIP与目标ECS的地域、网络类型是否匹配。地域对不上，绑定会直接失败。
- 登录ECS检查网卡配置，并到安全组里放行服务需要的端口。
- 从外部网络做一次连通性测试，确认服务真的能从公网访问到。
之后要换机器，只需要把EIP从旧实例解绑，再绑到新实例上。地址没变，白名单和解析记录也不用动。
案例：电商小站对接支付白名单
某做手工饰品的电商团队，早期直接用实例默认的公网IP部署。接入某支付渠道时，对方要求把服务器出口IP加进白名单。团队提交的IP在一次重启后变了，支付回调全部失败，对账又花了两天才理清。
后来的做法很简单：买一个EIP绑到生产ECS上，只用它对外，白名单也只填这一个地址。测试环境单独用另一个EIP，两边互不干扰。回调因此稳定下来，之后换服务器，只需要把EIP迁到新实例。
案例：多台服务器统一出口
另一个数据处理项目，需要多台ECS并发调用外部接口，而对方对单个来源IP的调用频次有上限。如果每台机器都挂着自己的公网IP，既难管理，安全组规则也得逐台维护。
团队在VPC里部署了NAT网关，给私有子网里的实例配置SNAT规则，所有出站流量统一经过绑在NAT网关上的EIP出去。ECS不再需要公网IP，入站流量则通过SLB或堡垒机进入。出口集中之后，扩容的新机器自动走同一个出口，维护轻松了不少。
有两点要留意。NAT网关的规格和带宽要按实际流量来选，配高了不代表更好。另外，出口集中也意味着风险集中：这个IP一旦被限流，所有实例都会受影响，所以最好提前备好一个备用EIP，并写清切换步骤。
常见问题与排查思路
- 访问不通：按顺序查。先看安全组入方向规则，再看系统防火墙和服务的监听地址，最后确认公网IP已经正确绑定。
- IP经常变化：先看实例的计费方式。按量付费的公网IP会随停机变化，需要固定地址就改用EIP。
- IP被限制或封禁：先排查业务是否存在异常请求，确认无误后再考虑更换EIP，或启用高防IP服务。
- 带宽不够：在云监控里看进出带宽的峰值。如果峰值长期超标，再决定是升级带宽，还是改用共享带宽包。
选型建议
个人测试或临时访问，用实例公网IP就够了。涉及白名单、域名解析或长期对接，用EIP。多台实例需要统一出口，可以考虑NAT网关加EIP的组合。无论哪种方式，安全组只开放必要端口，来源地址也尽量收窄，对外服务要加身份认证，别让服务直接暴露在公网上。
价格、配额和地域支持变化比较快，具体以阿里云官方文档和控制台显示为准。正式上线前，最好先在测试环境把网络连通性和故障切换完整走一遍。
